CVE-2026-86038 in libp2p
الملخص
بحسب VulDB • 17/09/2026
libp2p هو تنفيذ لـ JavaScript لمجموعة بروتوكولات libp2p الشبكية. من الإصدار 15.0.0 حتى 16.0.5، يستخدم @libp2p/gossipsub سياسة التوقيع الصارم (StrictSign) الافتراضية في الحزمة packages/gossipsub/src/utils/buildRawMessage.ts، حيث تقوم دالة validateToRawMessage بالتحقق من توقيع باستخدام msg.key الذي يتحكم فيه المهاجم، لكنها تتخطى ربط هذا المفتاح بـ msg.from عندما يكون المؤلف المزعوم هو معرف peer RSA لا يحتوي على مفتاح عام مضمن. يمكن لمهاجم غير مصرح له وضع معرف peer RSA ضحية في حقل msg.from، وتوقيع الرسالة بمفتاحه الخاص، وتقديم مفتاحه العام في msg.key، مما يؤدي إلى قبول الرسالة ونشرها وكأنها من إعداد الضحية. التطبيقات التي تثق بحقل message.from للمصادقة (validators)، والترخيص، والمحاسبة، والرقابة، وسمعة المستخدم، أو تسجيل المراجعة يمكن أن تعالج بيانات يتحكم فيها المهاجم تحت نسب كاذب للأصل. تم إصلاح هذه المشكلة في الإصدار 16.0.5.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.